Xml eli Extensible Markup Language on kieli, jota käytetään tiedon ja dokumenttien käsittelyyn lähes kaikissa tietojärjestelmissä. Xml-kirjastototeutuksesta on löydetty useita haavoittuvuuksia, ja xml:n laaja käyttö voi aiheuttaa laajamittaisia ongelmia.
Oululainen Codenomicon löysi vakavia haavoittuvuuksia xml-kirjastosta. Haavoittuvuudet saattavat koskea hyvin erilaisia sovelluksia pilvilaskennasta pikaviestiohjelmiin.
Codenomicon auttoi korjaamaan haavoittuvuuksia muun muassa Sun Microsystemsin, Apache Software Foundation ja Python Software Foundationin xml-kirjastoista.
Haavoittuvuudet liittyvät odottamattomia tavuarvoja ja useita toistettuja sulkeita sisältävien XML-elementtien käsittelyyn, joka voi johtaa muistinkäsittelyvirheeseen tai päättymättömään silmukkaan.
Haavoittuvuudet voivat aikaansaada kohdejärjestelmässä palvelunestotilan, tai mahdollistaa hyökkääjän oman ohjelmakoodin suorituksen kohdejärjestelmässä.
Haavoittuvuuksia voi hyväksikäyttää houkuttelemalla käyttäjä avaamaan tietyllä tavalla muotoiltu tiedosto, tai lähettämällä se XML-muotoisia tiedostoja käsittelevälle palvelimelle.
Cert-Fi koordinoi haavoittuvuuksien julkaisun haavoittuvuuden löytäjän ja haavoittuvan tuotteen valmistajan välillä. Codenomicon raportoi löytämänsä haavoittuvuudet Cert-Fi:lle, joka huolehti raporttien toimittamisesta eteenpäin valmistajille.
"Xml-toteutuksia löytyy sellaisistakin laitteista ja palveluista, mistä niitä ei heti odottaisi löytävänsä. Meidän kannaltamme on tärkeintä, että ohjelmistojen käyttäjät asentavat nyt julkaistut päivitykset mahdollisimman pian. Prosessi päättyy vasta, kun korjatut ohjelmistoversiot on saatu tuotantokäyttöön", sanoo Cert-Fi -yksikön johtaja Erka Koivunen.